链闻消息，针对跨链互操作协议PolyNetwork被黑客攻击的事件，慢雾安全团队分析称是由于跨链合约keeper被修改为黑客制定地址，从而使黑客可以随意构造交易从合约中取出任意数量的资金，具体如下：1.本次攻击的核心在于EthCrossChainManager合约的verifyHeaderAndExecuteTx函数可以通过_executeCrossChainTx函数执行具体的跨链交易。2.由于EthCrossChainData合约的owner为EthCrossChainManager合约，因此EthCrossChainManager合约可以通过调用EthCrossChainData合约的putCurEpochConPubKeyBytes函数修改合约的keeper。3.其中EthCrossChainManager合约的verifyHeaderAndExecuteTx函数是可以通过内部调用_executeCrossChainTx函数执行用户指定的跨链交易，所以攻击者只需要通过verifyHeaderAndExecuteTx函数传入精心构造的数据来使_executeCrossChainTx函数执行调用EthCrossChainData合约的putCurEpochConPubKeyBytes函数以改变keeper角色为攻击者指定的地址。4.替换完成keeper角色地址后，攻击者即可随意构造交易从合约中取出任意数量的资金了。
慢雾余弦：攻击者花费不菲得到ETC，但恐怕不容易洗出来:慢雾科技创始人余弦昨日发微博称，ETC算力相比太低是个很尴尬的事，差不多10 TH左右，而ETH有190 TH，再看看BTC有120,000,000 TH（BTC倒不是ETC的算力威胁，写在这是方便对比）。一样挖矿算法的ETH与ETC，如果ETH里的大算力打ETC就是个降维打击了（我说的是“如果”）。51%攻击不是技术门槛，是成本对抗门槛，攻击者费了不少钱最终得到ETC，这些ETC恐怕也不容易完美不留痕迹地洗出来，不明白攻击者是怎么想的，估计并没怎么想。另外还有个有意思的，ETC社区觉得这是犯罪行为，不知道各国法律是怎么看的。[2020/8/7]
动态 | 慢雾：2020年加密货币勒索蠕虫已勒索到 8 笔比特币:慢雾科技反(AML)系统监测：世界最早的知名加密货币勒索蠕虫 WannaCry 还在网络空间中苟延残喘，通过对其三个传播版本的行为分析，其中两个最后一次勒索收到的比特币分别是 2019-04-22 0.0584 枚，2019-09-01 0.03011781 枚，且 2019 年仅发生一次，另外一个 2020 还在活跃，2020 开始已经勒索收到 8 笔比特币支付，但额度都很低 0.0001-0.0002 枚之间。这三个传播版本第一次发生的比特币收益都是在 2017-05-12，总收益比特币 54.43334953 枚。虽然收益很少，但 WannaCry 可以被认为是加密货币历史上勒索作恶的鼻主蠕虫，其传播核心是 2017-04-13 NSA 方程式组织被 ShdowBrokers(影子经纪人) 泄露第三批网络军火里的“永恒之蓝”(EternalBlue)漏洞，其成功的全球影响力且匿名性为之后的一系列勒索蠕虫（如 GandCrab）带来了巨大促进。[2020/2/23]
公告 | 慢雾区发布EOS假账号安全风险预警:慢雾区发布EOS假账号安全风险预警称：如果EOS钱包开发者没对节点确认进行严格判断，比如应该至少判断15个确认节点才能告诉用户账号创建成功，那么就可能出现假账号攻击。
攻击示意如下：
1.用户使用某款EOS钱包注册账号（比如 aaaabbbbcccc），钱包提示注册成功，但由于判断不严格，这个账号本质是还没注册成功；
2.用户立即拿这个账号去某交易所做提现操作；
3.如果这个过程任意环节作恶，都可能再抢注aaaabbbbcccc这个账号，导致用户提现到一个已经不是自己账号的账号里。
防御建议：轮询节点，返回不可逆区块信息再提示成功。[2018/7/16]
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。